[NEW VULNERABILITY] decompress-zip: GHSA-73v8-v6g4-vrpm Fix Bypass + 4 Additional Vulnerabilities
維護者通常 1 天內回覆
還沒有人認領這個 Issue。
評估
- 難度
- 4/5
- 預估耗時
- 3-5 天
- 新手友好度
- 30/100
- Issue 類型
- 缺陷
- 描述清晰度
- 描述清楚
- 活躍度
- 活躍
- 技術堆疊
- javascript
- 領域
- security
研究方向
The vulnerability is in lib/decompress-zip.js line 94, where indexOf() is used for path validation. Review the decompress-zip package source, understand the zip extraction flow, and test the bypass with a malicious zip file. The fix must properly resolve and contain paths, not just do string prefix matching. Check for similar issues in the codebase and ensure the fix addresses all listed CVEs.
由索引模型根據 Issue 內容生成。
描述
Package Information
- Ecosystem: npm
- Package: decompress-zip
- Affected versions: <= 0.3.3
- CWE: CWE-22, CWE-770, CWE-409, CWE-345, CWE-367
Summary
The security fix in v0.3.2 for GHSA-73v8-v6g4-vrpm is INCOMPLETE and can be bypassed. Additionally, 4 new vulnerabilities were discovered.
| # | Vulnerability | CVSS 3.1 | CWE |
|---|---|---|---|
| 1 | Path Traversal Fix Bypass | 9.1 CRITICAL | CWE-22 |
| 2 | Memory Exhaustion | 7.5 HIGH | CWE-770 |
| 3 | Zip Bomb | 7.5 HIGH | CWE-409 |
| 4 | Missing Signature Validation | 5.3 MEDIUM | CWE-345 |
| 5 | TOCTOU Race Condition | 3.1 LOW | CWE-367 |
Critical Finding: indexOf() Bypass
File: lib/decompress-zip.js:94
if (destination.indexOf(options.path) !== 0) {
throw new Error('You cannot extract a file outside of the target path');
}
Bypass: ../extract_pwned/evil.txt passes the check because indexOf() does STRING prefix matching, not PATH containment.
PoC
Target: /project/extract
Malicious entry: ../extract_pwned/evil.txt
Result: File written to /project/extract_pwned/evil.txt (OUTSIDE target)
Reporter
Yahya Ganbarli - 主要語言
- 沒有語言資料
- 星號
- 2.5k
- 分支
- 819
- 平均合併
- 5 天 6 小時
- 30 天內合併 PR
- 54
環境準備
- 沒有 Dockerfile 或 Docker Compose 檔案
- 沒有 Pull Request 範本
- 閱讀貢獻指南
從這裡開始
- 先讀完整個 Issue，再讀專案的貢獻指南。
- 在 Issue 下留言說明你要接手 —— 這能避免兩個人做同樣的事。
- Fork 儲存庫，在一個分支上完成修改。
- 送出 Pull Request，並在描述裡引用這個 Issue 編號。
github/advisory-database 的其他 Issue
-
Update https://github.com/advisories/GHSA-5pf6-cq2v-23ww to include patched version可能已有人在做 @GreyforgeLabs 於 15 天前認領。 未關閉
難度 2/5 1-3 小時 新手友好度 76/100
github/advisory-database#9879 ·
維護者通常 1 天內回覆
-
難度 2/5 1-3 小時 新手友好度 68/100
github/advisory-database#9255 ·
維護者通常 1 天內回覆
-
難度 2/5 1-3 小時 新手友好度 72/100
github/advisory-database#9164 · 1 個 reaction ·
維護者通常 1 天內回覆
-
CVE-2026-5598 has incorrect fixed versions for bcprov-jdk packages可能已有人在做 @ECD5A 於 57 天前認領。 未關閉
難度 2/5 1-3 小時 新手友好度 72/100
github/advisory-database#8994 ·
維護者通常 1 天內回覆
-
難度 2/5 1-3 小時 新手友好度 68/100
github/advisory-database#8898 · 4 則留言 · 1 個 reaction ·
維護者通常 1 天內回覆
查看 github/advisory-database 的全部 Issue
相似的 Issue
-
enhancement frontend
難度 2/5 1-3 小時 新手友好度 83/100
Albertinesilva/backend-engineering-journey-java-springboot#46 ·
-
Snyk: vulnerabilities in jackson-databind 2.21.5可能已有人在做 @harrywu23 今天認領。 未關閉bug
難度 1/5 1-3 小時 新手友好度 80/100
SOFTENG-310-Group-4/Project-A1-310-Group-4#115 ·
維護者通常 1 天內回覆
-
難度 2/5 1-3 小時 新手友好度 73/100
維護者通常 1 天內回覆
-
bug domain: backend priority: p1 Stellar Wave
難度 2/5 1-3 小時 新手友好度 78/100
StellarState/SS-backend#626 · 2 則留言 ·
維護者通常 1 天內回覆
-
A2A audit timestamps end in +00:00Z (invalid ISO 8601)可能已有人在做 @O1sumitkumar 今天認領。 未關閉bug good first issue help wanted python
難度 2/5 1-3 小時 新手友好度 78/100
維護者通常 1 天內回覆